Kundeneigene Anforderungen
Ungeklärte Zuständigkeiten, besonders zwischen Fachbereich und IT
Anmeldung mit Benutzer und Passwort einer anderen Anwendung (z. B. eines ADs oder Portals) In diesem Fall muss die Webanwendung dazu in der Lage sein, eine eindeutige SAP-Benutzer-ID zu den Anmeldedaten zu ermitteln. Sie sollten eine Anwendung wählen, bei der der Benutzer sein Passwort nicht so leicht vergisst.
Sie haben Anwendungen selbst entwickelt und möchten Vorschlagswerte für diese pflegen? Das geht am einfachsten mithilfe des Berechtigungstrace. Auch bei selbst entwickelten Anwendungen werden Berechtigungsprüfungen durchgeführt. Diese Anwendungen müssen somit in die PFCG-Rollen aufgenommen werden. Werden sie in einem Rollenmenü gepflegt, wird Ihnen auffallen, dass neben den Startberechtigungen (wie z. B. S_TCODE) keine weiteren Berechtigungsobjekte in die PFCG-Rolle übernommen werden. Der Grund dafür ist, dass auch für kundeneigene Anwendungen Vorschlagswerte gepflegt werden müssen, um sicherzustellen, dass die PFCG-Rollenpflege regelkonform abläuft, und um die Pflege für Sie zu erleichtern. Bisher mussten die Werte von kundeneigenen Anwendungen entweder manuell in der PFCG-Rolle nachgepflegt werden, oder die Vorschlagswertepflege in der Transaktion SU24 wurde manuell durchgeführt.
Nach fehlenden Berechtigungen tracen
Textbausteine in Berechtigungsrollen können Sie einzeln mithilfe der Transaktion SE63 übersetzen. Wenn Sie viele Rollen übersetzen müssen, gibt es aber auch Automatisierungsoptionen, die wir Ihnen hier vorstellen. Es gibt verschiedene Szenarien, in denen es interessant wird, die Texte von Berechtigungsrollen zu übersetzen, z. B. wenn Ihr Unternehmen international agiert. Auch kann es vorkommen, dass Sie ein Drittunternehmen mitsamt den dort genutzten SAP-Systemen übernommen haben oder Sie eine Vereinfachung der SAP-Systemlandschaft anstreben und dafür verschiedene Sparten in einem System vereinen. In allen genannten Fällen müssen Sie die Texte der Berechtigungsrollen vereinheitlichen oder übersetzen. Für die reine Übersetzung können Sie die Transaktion SE63 nutzen, die wir im ersten Abschnitt dieses Tipps erläutern. Im Regelfall müssen Sie aber bei den genannten Szenarien eine große Anzahl von Rollentexten übersetzen; daher erläutern wir im zweite Abschnitt wie Sie die Übersetzung mithilfe der Transaktion LSMW (Legacy System Migration Workbench) automatisieren und gehen auf den Aufbau eines kundeneigenen ABAP-Programms ein.
Vorab muss klargestellt werden, wobei es sich überhaupt um einen anerkannten „Notfall“ handelt und welche Szenarien die Aktivierung des hoch privilegierten Benutzers noch nicht rechtfertigen. Zudem darf er erst nach begründetem Antrag und nur im 4-Augen-Prinzip genehmigt und freigeschaltet werden. Nach Gebrauch ist er sofort wieder administrativ zu sperren.
Sollten Sie in die Situation geraten, dass Berechtigungen erforderlich sind, die nicht im Rollenkonzept berücksichtigt wurden, ermöglicht Ihnen "Shortcut for SAP systems" die Zuweisung der Komplettberechtigung für das jeweilige Berechtigungsobjekt.
Identifizieren Sie Schwachstellen in der Konfiguration Ihrer RFC-Schnittstellen, also RFC-Verbindungen, in denen Benutzer mit weitreichenden Berechtigungen (z. B. mit dem Profil SAP_ALL) eingetragen sind.
Auf www.sap-corner.de finden Sie ebenfalls viele nützliche Informationen zum Thema SAP Berechtigungen.
Bei den Rollen gibt es eine Besonderheit wenn das entsprechende SAP System auf S/4HANA beruht.